En modenhedsvurdering skal give ledelsen tre ting: et nulpunkt, der viser, hvor virksomheden står i dag, en skala, der gør det muligt at se fremskridt, og en prioriteret plan for de næste et til tre år, som ledelsen kan godkende. En gap-analyse er den del, der sammenholder nulpunktet med et bestemt krav, fx NIS2-lovens minimumskrav eller en kundekontrakt. Det er planen bagefter, der gør resultatet til grundlag for ledelsens beslutninger og for den næste måling.
To spørgsmål, to metoder
Gap-analysen svarer på, om et krav er opfyldt. Svaret er typisk ja, delvist eller nej for hvert punkt, og den er nyttig, når der er en ydre målestok som lovens § 6, en standard eller en kundes krav.
Modenhedsvurderingen svarer på, hvor godt noget fungerer. Den bruger en skala, fx fra 0 til 5, hvor de lave trin betyder, at noget sker tilfældigt eller afhænger af enkeltpersoner, og de høje trin, at det er beskrevet, ejet, målt og forbedret. Den er nyttig, når ledelsen vil se udviklingen over tid.
De fleste virksomheder har brug for begge. Gap-analysen viser, hvad der mangler for at leve op til kravene. Modenheden viser, om det, der findes, holder i hverdagen. Valget af ramme til selve målingen er gennemgået i CIS Controls og NIST CSF.
Nulpunktet
Nulpunktet er den første måling, og den skal være ærlig. Den bygger bedst på tre kilder: dokumenter, samtaler med dem, der udfører arbejdet, og stikprøver, der viser, om det beskrevne også sker. En politik for adgangsstyring tæller lavt, hvis ingen kan vise, at brugerlisterne gennemgås.
Ledelsen bør bede om, at hvert område får en kort begrundelse for scoren. Så kan ledelsen se, hvad tallet bygger på, og den næste måling kan sammenlignes med den første.
Hvem der måler, påvirker resultatet. En selvvurdering i IT-afdelingen er billig at gentage, men den, der har bygget løsningerne, ser dem let i et venligt lys. En IT-leverandør, der også skal levere forbedringerne, har en indbygget interesse i, hvad planen kommer til at indeholde. Den mest troværdige måling laves derfor af en person, der hverken driver systemerne eller tjener på de indkøb, planen fører med sig. Det gælder både første måling og de senere, så tallene kan sammenlignes.
Omfanget skal også ligge fast. Skriv ned, hvilke selskaber, lokationer, systemer og leverandører målingen dækker, og hvad der bevidst er holdt udenfor. Et nulpunkt, der kun dækker kontoret, siger intet om produktionen.
Skalaen skal kunne forstås af ledelsen
En skala er kun nyttig, hvis ledelsen forstår, hvad trinene betyder. Bed derfor om en beskrivelse af hvert trin med almindelige ord og et eksempel. Forskellen på trin 2 og 3 kan fx være, at en procedure findes på skrift, og at en navngiven person vedligeholder den.
Ledelsen skal også fastsætte et mål. Ikke alle områder skal på det højeste trin. Et passende mål afhænger af risikoen og af den risikovillighed, ledelsen har formuleret, se risikovillighed. Et område med høj risiko kan have et højere mål end et område, hvor en fejl har små følger.
Fra resultat til plan
Planen er den del, ledelsen skal godkende. Den bør omfatte:
- Afstanden mellem nulpunkt og mål for hvert område,
- Prioriteringen efter risiko, så de største huller med de største følger kommer først,
- Ejere og tidsrammer for hver indsats, fordelt over et til tre år,
- Afhængigheder, fx at en leverandøraftale skal ændres, før en foranstaltning kan indføres,
- Det, der bevidst venter, med en begrundelse, så ledelsen kan stå inde for valget.
Hvordan rækkefølgen sættes, når listen er lang, er beskrevet i prioritering af sikkerhedsarbejdet. Mangler i forhold til lovens krav skal efter NIS2-lovens § 6, stk. 2, rettes uden unødigt ophold, og de hører derfor øverst.
Målingen skal kunne gentages
Værdien af en modenhedsvurdering viser sig først ved den næste måling. Gentag den med samme ramme og samme skala, typisk en gang om året, så udviklingen kan aflæses. Ændres metoden, bør det fremgå, hvilke tal der ikke længere kan sammenlignes.
Den årlige måling passer godt ind i ledelsens tilsyn efter NIS2-lovens § 7. Den viser, om planen er fulgt, og den kan indgå i den vurdering af foranstaltningernes effektivitet, som § 6, stk. 1, nr. 6, kræver politikker og procedurer for. Organiseringen af den vurdering er beskrevet i vurdering af foranstaltningerne.
Tænk på en rådgivningsvirksomhed med 60 ansatte, hvor nulpunktet viser lav modenhed i leverandørstyring og høj i backup. Ledelsen sætter målet for leverandørstyring tre trin op over to år og lader backup ligge. Ved næste måling er leverandørstyringen steget ét trin, og bestyrelsen kan se, hvilke indsatser der gav fremskridtet.
Det skal I lade være med
- At bruge scoren som karakter for IT-afdelingen · den måler virksomheden, og ærlige svar forudsætter tryghed.
- At sætte samme mål for alle områder · målet skal følge risikoen.
- At få en rapport uden plan · beslutningen er det, ledelsen skal bruge.
- At skifte ramme hvert år · så kan fremskridt ikke ses.
- At lade samme person måle og udføre forbedringerne uden kontrol · stikprøver og begrundelser gør målingen troværdig.
Det skal I kræve af den eksterne
- ☐ En beskrivelse af ramme, skala og trin, som ledelsen kan forstå.
- ☐ En begrundelse og kilde for hver score.
- ☐ Et forslag til mål pr. område, koblet til risikovilligheden.
- ☐ En prioriteret plan over et til tre år med ejere og afhængigheder.
- ☐ En aftale om, hvornår og hvordan målingen gentages.
Hvad I gør nu
Beslut, hvilken målestok gap-analysen skal bruge, og hvilken ramme modenheden måles med. Afsæt et punkt på et ledelsesmøde til at godkende mål og plan. Indgangen til arbejdet med risiko og strategi er risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, om minimumskravene, herunder nr. 6 om vurdering af effektivitet, § 6, stk. 2, om korrigerende foranstaltninger, § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
- Hvad skal vi gøre først? Prioritering af sikkerhedsarbejdet
- Risikovillighed: hvor meget vil ledelsen tåle?
Læs også: Sikkerhedsstrategi · Nøgletal for sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
